Lo Stealer Lunex Usa un Driver AMD per Accecare gli Strumenti di Sicurezza
Una sofisticata operazione malware nota come Lunex sta attualmente prendendo di mira gli utenti sfruttando una vulnerabilità in un driver grafico AMD per neutralizzare gli strumenti di sicurezza di endpoint detection and response (EDR). Secondo un rapporto tecnico del ricercatore di minacce di Ontinue Rhys Downing, la campagna utilizza una catena di attacco in quattro fasi progettata specificamente per compromettere gli utenti di lingua ucraina. L'infezione inizia con siti web compromessi che iniettano una finta pagina CAPTCHA che impiega una tecnica chiamata ClickFix. Questo metodo inganna gli utenti inducendoli a eseguire manualmente script dannosi presentando loro un falso controllo di verifica Cloudflare. Una volta che l'utente interagisce con l'esca, scarica inavvertitamente un loader denominato LunexLoader.
Il LunexLoader è progettato per aggirare le protezioni di Windows User Account Control (UAC) utilizzando l'oggetto COM CMSTPLUA. Ancora più critico, sfrutta un attacco Bring Your Own Vulnerable Driver (BYOVD) per elevare i privilegi. Il malware prende di mira il driver in modalità kernel PDFWKRNL.sys, che fa parte del software AMD Radeon ed è vulnerabile a CVE-2023-20598. Sfruttando questo driver, lo stealer può eseguire codice con accesso di sistema di alto livello. Fondamentalmente, questo non termina i processi di sicurezza, ma li acceca. Ontinue descrive questa come azzeramento delle callback del kernel guidato da PDB, una tecnica che lascia i prodotti di sicurezza in esecuzione ma incapaci di monitorare o rilevare ulteriori attività dannose. Test convalidati hanno confermato che né l'Hypervisor-Protected Code Integrity (HVCI) né l'attuale Elenco dei driver vulnerabili bloccati di Microsoft impediscono il caricamento di questa specifica variante del driver AMD, nonostante l'hash del driver sia elencato nel progetto LOLDrivers da marzo 2026.
Una volta che il monitoraggio della sicurezza è disabilitato, viene distribuito il payload finale, denominato Psychedelic Stealer. Questo componente comunica con un server di comando e controllo (C2) all'indirizzo 193.178.159[.]128 tramite HTTP per esfiltrare i dati. Lo stealer estrae credenziali e cookie di sessione da sette browser basati su Chromium: Google Chrome, Microsoft Edge, Brave, Yandex Browser, Opera, Opera GX e Vivaldi. Enumera e ruba anche dati da cinque portafogli di criptovalute desktop, tra cui Bitcoin Core, Litecoin, Exodus, Atomic Wallet ed Electrum, nonché da quattro portafogli di estensione browser come MetaMask, OKX Wallet e SafePal Wallet.
La persistenza è mantenuta attraverso molteplici vettori. Il malware registra una chiave Run del Registro di sistema e crea un'attività pianificata nascosta denominata psychedelicloveUtils. Inoltre, installa un Native Messaging Host (NMH) basato su PowerShell all'interno del browser della vittima. Questo host è supportato da uno script PowerShell di 13.200 byte incorporato nella sezione .rdata del binario. Operando nel contesto del processo Chrome, l'NMH sopravvive all'eliminazione del binario, ai riavvii del sistema e ai riavvii del browser. Concede all'attaccante sei azioni sul file system: elencare unità e directory, leggere file fino a 524 MB, scrivere dati arbitrari, scaricare file ed eseguire programmi. Lo stealer inietta anche un'estensione Chrome dannosa manipolando le Secure Preferences, concedendo ampi permessi per cookie, cronologia, segnalibri, schede, archiviazione, impostazioni proxy, scripting e tutti gli URL HTTP/HTTPS.
La piattaforma Lunex sembra essere una soluzione Malware-as-a-Service (MaaS) venduta a vari gruppi criminali. Mentre Arctic Wolf Labs ha documentato per primo il metodo di distribuzione che coinvolge siti web legittimi compromessi in Ucraina, BlueTeamCoolTeam ha identificato pannelli C2 attivi nel giugno 2026 negli Stati Uniti, Finlandia, Germania, Paesi Bassi e Ucraina. All'ultima analisi, sono stati identificati 28 pannelli unici in 13 paesi, tra cui Russia, Regno Unito, Francia, Turchia e Bangladesh. Un pannello ospitato in Turchia si risolve in domini di phishing che impersonano marchi come Sams Club e WhatsApp Business, indicando che la piattaforma supporta sia il furto di credenziali che l'impersonificazione del marchio. La rapida espansione suggerisce uno sviluppo attivo da parte di un team di lingua russa.
Per i proprietari di siti web e i team IT, questo incidente evidenzia il rischio critico delle compromissioni della catena di fornitura su siti legittimi e l'efficacia degli attacchi BYOVD nell'eludere le difese moderne. L'uso di ClickFix su domini fidati dimostra come l'ingegneria sociale possa aggirare la sicurezza perimetrale. Si consiglia agli utenti di rimanere scettici di fronte a richieste di esecuzione manuale necessarie per le verifiche CAPTCHA.
Se la tua infrastruttura si basa su hosting gestito o risoluzione DNS sicura, AEU-I fornisce servizi di consulenza IT e infrastrutture incentrati sulla sicurezza per aiutarti a valutare e rafforzare il tuo ambiente contro questi tipi di minacce persistenti avanzate e rischi della catena di fornitura.